NIS2 und Lieferkette: Was gilt für Zulieferer?
Viele Betriebe fallen selbst nicht unter das BSI-Gesetz, das NIS2 seit dem 6. Dezember 2025 umsetzt. Ihre Kunden aber vielleicht – und die müssen ihre Lieferkette absichern.
Wer direkt verpflichtet ist
Pflichten aus dem BSI-Gesetz treffen besonders wichtige und wichtige Einrichtungen (§ 28 BSIG). Das hängt von der Branche (Anlagen 1 und 2 des Gesetzes) und der Größe ab: in der Regel ab 50 Beschäftigten oder bei einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Millionen Euro. Für einige Einrichtungen, etwa Betreiber kritischer Anlagen, gilt das unabhängig von der Größe.
Ob Ihr Unternehmen dazugehört, zeigt der NIS2-Betroffenheitscheck als vorläufige Einordnung.
Was das Gesetz zur Lieferkette sagt
Regulierte Einrichtungen müssen geeignete, verhältnismäßige und wirksame Maßnahmen für ihre IT-Sicherheit ergreifen. Zu den Mindestmaßnahmen zählt ausdrücklich:
„Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“ (§ 30 Abs. 2 Nr. 4 BSIG)
Wie streng die Maßnahmen sein müssen, richtet sich unter anderem nach Risiko, Größe der Einrichtung und Umsetzungskosten (§ 30 Abs. 1 BSIG). Eigene Pflichten für Zulieferer enthält § 30 BSIG nicht. Einzelheiten zu den Maßnahmen der regulierten Einrichtungen können Durchführungsrechtsakte der EU-Kommission und Rechtsverordnungen präzisieren (§ 30 Abs. 3 bis 5 BSIG).
Was das für Zulieferer bedeuten kann
Weil regulierte Kunden ihre Lieferkette berücksichtigen müssen, können sie zum Beispiel Fragebögen schicken, Nachweise verlangen oder Sicherheitsanforderungen in Verträge aufnehmen. Häufig geht es dabei um Themen, die § 30 Abs. 2 BSIG für die Kunden selbst nennt:
- Bewältigung von Sicherheitsvorfällen
- Aufrechterhaltung des Betriebs, etwa Backup-Management und Wiederherstellung nach einem Notfall
- grundlegende Schulungen und Sensibilisierung
- Multi-Faktor-Authentifizierung
- Management und Offenlegung von Schwachstellen
Wer diese Punkte für den eigenen Betrieb beantworten kann, ist auf solche Anfragen vorbereitet. Einen Überblick über den eigenen Stand gibt der Compliance-Check; Umsetzung und Nachweise unterstützen wir im Rahmen unserer Cybersecurity-Leistungen. Die Pflichten regulierter Einrichtungen im Überblick stehen auf der Seite NIS2-Richtlinie.
Weiterführende Informationen – BSI
Offizielle Informationen des Bundesamts für Sicherheit in der Informationstechnik (BSI):
Gesetzestext: § 30 BSIG und § 28 BSIG (gesetze-im-internet.de). Keine Rechtsberatung.
Rechtsstand: – Die Inhalte dienen der Orientierung und ersetzen keine Rechtsberatung.
Häufige Fragen zu NIS2 und Zulieferern
Nein. Direkt verpflichtet sind nur besonders wichtige und wichtige Einrichtungen nach § 28 BSIG – abhängig von Branche und Größe. Ob das auf Ihr Unternehmen zutrifft, zeigt der NIS2-Check als vorläufige Einordnung.
Regulierte Einrichtungen müssen nach § 30 Abs. 2 Nr. 4 BSIG die Sicherheit ihrer Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern berücksichtigen. Das kann dazu führen, dass sie Anforderungen an ihre Zulieferer stellen.
Nein. Die Seite fasst den Gesetzestext zusammen und zeigt mögliche Folgen. Für Ihre konkrete Lage und für Vertragsklauseln wenden Sie sich an eine Rechtsanwältin oder einen Rechtsanwalt.